무슨 일이 있었나
2026년 10월 4일, NVD는 Ahsay 백업 소프트웨어의 관리 콘솔인 AhsayCBS(Cloud Backup Server)의 취약점 두 건, CVE-2026-105133과 CVE-2026-105134를 공개했습니다. AhsayCBS는 **관리형 서비스 제공업체(MSP)**와 시스템 통합업체가 널리 사용합니다. 공개 며칠 만에 실제 공격에 악용되기 시작했습니다.
보안 기업 Huntress에 따르면 악용은 **10월 7일 23:20 UTC(10월 8일 08:20 JST)**에 시작됐고, 10월 8일까지 5개 조직이 공격을 받았습니다.
두 가지 취약점
- CVE-2026-105133(중간):
checkSysPwd함수(ApiStructsAction.java)의 부적절한 인증. - CVE-2026-105134(치명적): Replication Receiver 구성요소의
/rps/api/json/UpdateReceivers.do에 인증 우회가 있어 인증 없이 NT AUTHORITY\SYSTEM 권한으로 원격 코드 실행이 가능.
공격자는 둘을 연결해 첫 번째로 인증을 우회하고 두 번째로 코드를 실행합니다. 이후 악성 receiver를 설정하고 애플리케이션이 제공하는 디렉터리에 JSP 웹셸을 심습니다.
침투 후 행동
Huntress가 확인한 내용:
- 침투 직후 JSP 웹셸 설치
curl과certutil로 Alibaba Cloud OSS 버킷의 파일 다운로드edge.exe로 이름을 바꾼 채굴기 XMRig와msedge.exe라는 수정된 NSSM을 가짜 서비스MicrosoftEdgeUpdateSvc로 SYSTEM 권한 실행- AI 도움으로 작성된 것으로 보이는 PowerShell 스크립트(
Taskgmr.ps1)가 작업 관리자가 열리면 채굴을 일시 중지 - 한 사례에서는 취약한 드라이버 WinRing0x64.sys로 채굴기에 커널 수준 하드웨어 접근 권한 부여
패치는 아직 주의가 필요
Huntress는 10월 8일 보고서를 갱신해, 초기 보도와 달리 10.3.4 버전도 취약하다고 밝혔습니다. Ahsay는 10월 10일 알림에서 10.3.4.0이 완전히 수정하지 못했다며 파트너에게 배포되는 핫픽스 10.3.4.45 적용과 재부팅을 권고했습니다. 조치 전에 반드시 공식 페이지를 확인하세요.
지금 할 일(체크리스트)
- 자산 확인: 자사나 MSP가 AhsayCBS를 쓰는지 확인합니다.
- 접근 제한: 관리 콘솔을 인터넷에 노출하지 마세요. 신뢰할 수 있는 IP만 허용하거나 VPN을 필수로 합니다.
- 권고된 핫픽스 적용 후 재부팅합니다.
- 침해 흔적 조사:
cbssvcX64.exe의 예상치 못한 자식 프로세스, Temp 폴더의edge.exe/msedge.exe,MicrosoftEdgeUpdateSvc서비스, 8029 포트 연결,WinRing0다운로드. Huntress가 Sigma 규칙과 IOC를 공개했습니다. - 흔적이 있으면 호스트를 재구축하세요. 다른 백도어가 남아 있을 수 있습니다.
- 복구 테스트: 침해된 백업 서버는 랜섬웨어에 대한 마지막 방어선을 위협합니다.
중소기업에 중요한 이유
백업 서버는 많은 고객 데이터에 접근하고 높은 권한으로 동작하는 특권적 위치에 있습니다. MSP가 공격받으면 모든 고객이 노출됩니다. 이번 목적은 암호화폐 채굴이었지만, 같은 접근으로 데이터를 훔치거나 랜섬웨어 공격 전에 백업을 지울 수도 있습니다.
출처
- Huntress(2026.10.8): https://www.huntress.com/blog/ahsaycbs-flaws-exploit
- Ahsay 패치 공지: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
- BleepingComputer: https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
- SecurityWeek: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/
백업이나 MSP 보안을 점검하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com